Nesta página, descrevemos os registros criados pelos alertas de ameaças do Cloud IDS.
Registros de ameaças
É possível conferir os registros gerados devido a ameaças na sua rede no Cloud Logging. Os registros usam um formato JSON com os seguintes campos:
threat_id: o identificador exclusivo de ameaças da Palo Alto Networks.name: nome da ameaça.alert_severity: gravidade da ameaça. Pode ser:INFORMATIONAL,LOW,MEDIUM,HIGHouCRITICAL.type: tipo da ameaça.category: subtipo da ameaça.alert_time: hora em que a ameaça foi descoberta.network: rede do cliente em que a ameaça foi descoberta.source_ip_address: endereço IP de origem do tráfego suspeito. Quando você usa um balanceador de carga doGoogle Cloud , o endereço IP real do cliente não fica disponível. O valor que você vê é o intervalo de endereços IP do Google Front End (GFE). O valor pode ser130.211.0.0/22ou35.191.0.0/16.destination_ip_address: endereço IP de destino do tráfego suspeito.source_port: porta de origem do tráfego suspeito.destination_port: porta de destino do tráfego suspeito.ip_protocol: protocolo IP do tráfego suspeito.application: tipo de aplicativo do tráfego suspeito, por exemplo, SSH.direction: direção do tráfego suspeito (cliente para servidor ou servidor para cliente).session_id: um identificador numérico interno aplicado a cada sessão.repeat_count: número de sessões com o mesmo IP de origem, IP de destino, aplicativo e tipo vistos em 5 segundos.uri_or_filename: o URI ou o nome de arquivo da ameaça relevante, se aplicável.cves: uma lista de CVEs associadas à ameaça.details: informações adicionais sobre o tipo de ameaça, extraídas do ThreatVault da Palo Alto Networks.
Os campos JSON anteriores estão aninhados no campo jsonPayload do registro. O
nome do registro de ameaças é
projects/<consumer-project>/logs/ids.googleapis.com/threat.
Além disso, o campo labels.id do registro contém o nome do endpoint do Cloud IDS, e o campo resource.type é ids.googleapis.com/Endpoint.
Exemplo de consulta
Esta consulta no Cloud Logging busca no registro de ameaças do IDS no projeto my-project do Cloud, retornando todas as ameaças com gravidade marcada como HIGH que foram reportadas pelo endpoint my-endpoint entre 8h e 9h de 4 de abril de 2021, horário PST (-07).
logName="projects/my-project/logs/ids.googleapis.com/threat"
AND resource.type="ids.googleapis.com/Endpoint"
AND resource.labels.id="my-endpoint"
AND timestamp >= "2021-04-18T08:00:00-07"
AND timestamp <= "2021-04-18T09:00:00-07"
AND jsonPayload.alert_severity=("HIGH" OR "CRITICAL")
Política de retenção
A retenção é determinada pelos buckets de armazenamento em que os registros estão localizados.
Por padrão, os registros são colocados no bucket _Default,
que tem uma política de retenção de 30 dias.
Você pode filtrar os registros para diferentes buckets. Além disso, a retenção é configurável.
Se você quiser uma política de retenção diferente dos 30 dias padrão, execute uma das seguintes ações:
- Filtre todos os registros em outro bucket e configure uma política de retenção.
- Configure uma política de retenção personalizada para o bucket
_Default. Essa configuração afetará todos os outros registros no bucket_Default.
Registros de tráfego
É possível conferir os registros gerados devido ao tráfego de rede no Cloud Logging. Os registros usam um formato JSON com os seguintes campos:
start_time: o horário de início da sessão.elapsed_time: o tempo decorrido da sessão.network: a rede associada ao endpoint do IDS.source_ip_address: o endereço IP de origem do pacote.source_port: a porta de origem do tráfego.destination_ip_address: o endereço IP de destino do pacote.destination_port: a porta de destino do tráfego.ip_protocol: o protocolo IP do pacote.application: o aplicativo associado à sessão.session_id: um identificador numérico interno aplicado a cada sessão.repeat_count: o número de sessões com o mesmo IP de origem, IP de destino, aplicativo e tipo vistos em 5 segundos.total_bytes: o número total de bytes transferidos na sessão.total_packets: o número total de pacotes transferidos na sessão.